EU-Rat will KI-Training mit Nutzerdaten erleichtern: Was Artikel 88bis für Deutschland bedeutet
Der Rat der Europäischen Union hat sich auf eine Position geeinigt, die das Training von KI-Systemen mit personenbezogenen Daten deutlich erleichtern würde. Am 21. Oktober 2026 billigten die Mitgliedstaaten ein Verhandlungsmandat zum sogenannten Digital-Omnibus-Paket der EU-Kommission. Im Zentrum steht ein neuer Artikel 88bis der Datenschutz-Grundverordnung (DSGVO). Er soll regeln, dass die Verarbeitung personenbezogener Daten für die Entwicklung und den Betrieb von KI-Systemen im Regelfall auf ein berechtigtes Interesse gestützt werden kann. Eine ausdrückliche Einwilligung der betroffenen Nutzer wäre demnach in vielen Fällen nicht mehr erforderlich.
Das ist noch kein geltendes Recht. Der Beschluss des Rates ist eine Verhandlungsposition. Damit aus dem Vorschlag ein Gesetz wird, müssen Rat, Europäisches Parlament und EU-Kommission im Trilog eine gemeinsame Fassung finden. Die Position des Parlaments steht bislang noch aus.
Was der Rat am 21. Oktober beschlossen hat
Nach Berichten über das Mandat einigten sich die Mitgliedstaaten im Ausschuss der Ständigen Vertreter auf eine gemeinsame Verhandlungsposition zum Digital-Omnibus. Das dazugehörige Dokument trägt laut Berichten die Nummer 14756/26 und wurde am 22. Oktober 2026 veröffentlicht. Es sieht vor, die DSGVO um einen neuen Artikel 88bis mit dem Titel "Processing in the context of the development and operation of AI" zu ergänzen.
Kern der Regelung: Entwicklung und Betrieb von KI-Systemen und KI-Modellen sollen künftig auf ein berechtigtes Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO gestützt werden können, ohne dass hierfür eine vorherige Einwilligung der Betroffenen erforderlich ist. Ursprünglich war die Bestimmung als Artikel 88c vorgesehen. In der Ratsfassung trägt sie nun die Nummer 88bis.
Das Mandat fand breite Zustimmung. Berichten zufolge votierten 24 der 27 EU-Staaten dafür. Einzig Österreich, Estland und Deutschland leisteten demnach Widerstand gegen den Entwurf.
Warum die Tragweite so groß ist
Die geplante Vorschrift beschränkt sich nach den vorliegenden Berichten nicht auf aktive Nutzerkonten. Sie erfasst demnach auch Personen, die keine Kunden der jeweiligen Dienste sind, sowie Datenbestände aus zurückliegenden Jahrzehnten, darunter ältere Beiträge in sozialen Medien und alte Chatverläufe.
Gleichzeitig enthält der Ratsentwurf nach Berichten Einschränkungen. Die Entwicklung von KI allein soll noch kein berechtigtes Interesse begründen. Vielmehr soll stets eine Einzelfallprüfung nach Zweck erfolgen, kombiniert mit einem Abwägungstest und dem regulären Widerspruchsrecht nach Artikel 21 DSGVO. Der Rat strich demnach aber die von der EU-Kommission ursprünglich vorgeschlagenen Erwägungsgründe zu einem bedingungslosen Widerspruchsrecht und ersetzte diese durch die reguläre Abwägung. Zudem wurde der Kinderschutz aus dem verbindlichen Artikeltext in eine unverbindliche Erwägung verschoben.
Weitere Anpassungen betreffen Ausnahmen für sensible Daten, die unbeabsichtigt als Restbestand in KI-Datensätze gelangen, sowie Regelungen zur 1:1-Biometrieverifikation. Die Definition personenbezogener Daten bleibt dem Bericht zufolge formell unberührt.
Scharfe Kritik von Datenschützern
Die Datenschutzorganisation noyb reagierte umgehend. Ihr Gründer Max Schrems bezeichnete die Position des Rates am 23. Oktober 2026 als "digitale Enteignung" der Europäer. Er warnte davor, dass Technologiekonzerne nahezu alle in den vergangenen Jahrzehnten gesammelten Daten ohne Einschränkung für KI nutzen könnten, einschließlich Beständen von Nicht-Kunden sowie alten Chat- und Social-Media-Verläufen.
Auch Verbraucherschützer äußerten deutliche Warnungen. Sie weisen darauf hin, dass die aktuelle Fassung des Gesetzespakets es Tech-Konzernen auf legalem Weg ermöglichen könnte, personenbezogene Daten europäischer Bürger ohne deren ausdrückliche Zustimmung zum Training kommerzieller KI-Modelle heranzuziehen.
Auf der anderen Seite argumentieren Befürworter, dass die bisherige Rechtslage für KI-Entwicklung in Europa unklar sei und europäische Anbieter gegenüber Konkurrenten aus den USA und China benachteilige. Der Digital-Omnibus war von der Kommission gerade mit dem Ziel vorgelegt worden, digitale Regeln zu vereinfachen. Das 179 Seiten umfassende Paket, das die EU-Kommission am 19. November 2025 vorgelegt hatte, ändert neben der DSGVO auch Vorgaben für Cookies und Sicherheitsmeldungen.
Berichten zufolge wurde für die Neuregelung keine vorherige Folgenabschätzung zu den Auswirkungen auf die Grundrechte vorgenommen. Zudem war der Europäische Datenschutzausschuss (EDPB) nicht direkt an der Ausarbeitung beteiligt. Beide Punkte dürften in den Verhandlungen eine Rolle spielen.
Was das für Nutzer in Deutschland konkret bedeuten könnte
Solange kein Gesetz beschlossen ist, ändert sich für Nutzerinnen und Nutzer in Deutschland zunächst nichts. Die DSGVO gilt weiter wie bisher, und wer der Verarbeitung seiner Daten widersprechen will, kann das bestehende Widerspruchsrecht nutzen.
Praktisch heißt das: Die Frage, ob alte Beiträge, Fotos oder Kommentare in KI-Trainingsdaten landen, würde seltener durch ein aktives "Ja" der Nutzer entschieden und häufiger durch eine Interessenabwägung des Anbieters. Das Widerspruchsrecht bliebe bestehen, müsste aber aktiv ausgeübt werden. Wie streng Gerichte und Aufsichtsbehörden diese Abwägung später auslegen, ist heute offen.
Für Deutschland ist zudem relevant, dass die Bundesregierung gegen das Mandat gestimmt hat. Das bedeutet nicht, dass Deutschland das spätere Gesetz blockieren könnte, denn im Rat entscheidet in der Regel die qualifizierte Mehrheit. Es zeigt aber, dass die deutsche Position in den Trilog-Verhandlungen eher auf der Seite strengerer Schutzstandards stehen dürfte.
Wie es jetzt weitergeht
Als nächster Schritt stehen die Trilog-Verhandlungen mit dem Europäischen Parlament an, das seine Position noch festlegen muss. Während der Rat einen Abschluss des Pakets bis Ende 2026 anstrebt, wird die parlamentarische Abstimmung laut Berichten Anfang 2027 erwartet. Die eigentlichen Trilog-Gespräche dürften sich daran anschließen. Bis dahin bleibt Artikel 88bis ein Vorschlag, kein Gesetz.
Für alle, die KI-Dienste nutzen oder anbieten, lohnt es sich, den Vorgang zu verfolgen. Anbieter sollten ihre Datenverarbeitung nicht voreilig umstellen, denn die endgültige Fassung kann noch deutlich von der Ratsposition abweichen. Nutzer sollten wissen, dass ihr Widerspruchsrecht nach Artikel 21 DSGVO schon heute ein Werkzeug ist, das sie nutzen können. Und wer in sozialen Netzwerken alte Beiträge stehen hat, die er längst vergessen hat, dem zeigt dieser Streit vor allem eines: Daten, die einmal online waren, können Jahrzehnte später wieder relevant werden.
Post Comment